Always On VPN is geen LAN-toegang: een checklist voor resources

Always On is de levensduur van een verbinding: het profiel maakt verbinding bij of vóór het aanmelden en herstelt de verbinding zonder dat de gebruiker iets indrukt. Dat betekent niet dat elke privé bestemming, protocol en gebruiker is toegestaan. De praktische vraag is welke resources het uitgerolde profiel echt levert, en dat antwoord vraagt een controle per resource, niet een blik op de Connected-badge.

Stap 1: Schrijf de resource op voordat u hem test

Begin met één korte registratie per toepassing, uit de echte omgeving: naam, bestemmingsprefix, service en poort, tunnelrol, identiteitsgroep en het pad van de resolver.

Name: portal.corp.example
Destination: 10.20.5.0/24
Service: HTTPS 443
Tunnel role: user access after sign-in
Identity: assigned employee group
Resolver: corporate private DNS

De registratie dwingt vier aparte vragen af. Een route bepaalt waar het adres heen gaat; DNS-beleid bepaalt hoe de client het adres leert; een verkeersfilter bepaalt of dat verkeer de verbinding mag gebruiken; de firewall en applicatierechten van de bestemming bepalen of het verzoek wordt geaccepteerd. Geen van de vier volgt uit een verbonden tunnel.

Stap 2: Bepaal welke tunnel het moet dragen

Windows Always On VPN heeft een apparaattunnel en een gebruikerstunnel, geconfigureerd als aparte profielen met aparte certificaten en bereiken. De apparaattunnel draagt meestal alleen de infrastructuur die nodig is vóór het aanmelden, zoals beheer en domeinservices; brede applikaasjetoegang voor medewerkers hoort bij de gebruikerstunnel.

Verkeersfilters zijn een functie van de apparaattunnel, daarom gebruikt het voorbeeld van Microsoft ze voor beheerverkeer. Kopieert u dat voorbeeld naar een algemeen resourceprofiel, dan krijgt u een tunnel die verbindt maar de verkeerde set draagt. Bevestig de actieve verbinding met Get-VpnConnection en test onder die verbinding.

Stap 3: Controleer de route voor het echte adres

Los de naam één keer op en controleer dan de route: Find-NetRoute -RemoteIPAddress 10.20.5.10 meldt de gekozen interface, de volgende hop en het bronadres. Is de interface de fysieke adapter, dan ontbreekt de prefix in de routeset van de tunnel of heeft de client hem via split tunneling uitgesloten. Vergelijk met de profieldefinitie in plaats van een lokale route toe te voegen.

Een lokale route add kan de test laten slagen en verdwijnen bij de volgende beleidsverversing, dus de wijziging hoort in het beheerde profiel. Controleer de prefix in zowel het gebruikers- als het apparaatprofiel, en controleer de instelling voor split tunneling: een volledige tunnel heeft geen route per prefix nodig, een split tunnel één voor elke privéprefix die hij draagt.

Stap 4: Test naamresolutie voor privénamen apart

Privénamen hebben hun eigen beleidspad. Het profiel kan NRPT-regels en een zoeklijst voor DNS-suffixen leveren, geldig zolang de tunnel actief is. Lees met Get-DnsClientNrptPolicy wat de client echt heeft ontvangen en test daarna een naam en een adres in dezelfde sessie. Namen die falen terwijl adressen werken, wijzen op de resolver; beide die falen op de route.

Een naam kan ook naar een adres buiten de routes van de tunnel verwijzen, wat succes en time-out mengt. Vergelijk het teruggegeven adres met de prefix in uw registratie; verschillen ze, dan antwoordt de privézone met een openbaar of alternatief adres en is de route die overeenkwam niet de ontworpen route.

Stap 5: Controleer filters, identiteit en de eigen poort van de applicatie

Verkeersfilters beperken welke protocollen en poorten de apparaattunnel mogen gebruiken, en een smalle set kan een resource blokkeren die de route zou dragen. Het profiel wijst de verbinding toe aan een groep, maar de resource heeft zijn eigen autorisatie: een gebruiker die kan verbinden, wordt niet automatisch door de fileserver geaccepteerd.

Wijzig het beheerde profiel via de eigenaar, of dat Intune, een ProfileXML-uitrol of een operationeel script is, en test daarna opnieuw na een normale herverbinding en na een herstart: de gebruikelijke fout is een verouderde lokale route of een profiel dat maar één keer is toegepast. Bewaar de profielversie naast het testresultaat.